Auftragsverarbeitungsvertrag

Verantwortlicher: die natürliche oder juristische Person, die diesen AVV durch Erstellung eines Betriebs auf octobooking.com akzeptiert hat. Als Betriebsinhaber bestimmst du die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten deiner Kunden.

Auftragsverarbeiter: Octobooking, ein Beta-Dienst betrieben von Tomas Bardhi, der die Plattform unter octobooking.com betreibt. Der Auftragsverarbeiter handelt ausschließlich nach den dokumentierten Weisungen des Verantwortlichen und bestimmt den Zweck einer Verarbeitung nicht eigenständig.

Der Auftragsverarbeiter stellt eine cloudbasierte Termin- und Buchungsverwaltungsplattform bereit, die es dem Verantwortlichen ermöglicht, Buchungen, Kunden, Personalpläne und damit verbundene Betriebsdaten zu verwalten.

Octobooking ist ein Planungswerkzeug. Es wickelt keine Zahlungen im Auftrag des Verantwortlichen ab, stellt keine Rechnungen oder Steuerdokumente aus und ist mit keiner Steuerbehörde verbunden.

Die Verarbeitung beginnt mit der Annahme dieses AVV und dauert an, solange der Verantwortliche ein aktives Konto unterhält. Die Beendigung richtet sich nach Abschnitt 8.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Bereitstellung des Dienstes, was umfasst:

• Erstellung und Verwaltung von Kundenbuchungsdaten im Auftrag des Verantwortlichen;
• Versand transaktionaler Benachrichtigungen — Bestätigungen, Erinnerungen und Stornierungen — an Endkunden per E-Mail und/oder SMS;
• Bereitstellung von Werkzeugen für Kundenverwaltung, Personalplanung und Reporting an den Verantwortlichen;
• Aufbewahrung anonymisierter Betriebsdaten nach Kontolöschung (siehe Abschnitt 8).

Der Auftragsverarbeiter verwendet personenbezogene Daten nicht für eigene Zwecke, für Werbung oder für andere als die oben genannten Zwecke.

Betroffene Personen: Endkunden des Betriebs des Verantwortlichen (Personen, die Buchungen vornehmen oder erhalten) sowie Mitarbeiter des Verantwortlichen (in Buchungsdaten verwendete Namen).

Verarbeitete Datenkategorien:

• Identität: Vorname, Nachname;
• Kontakt: E-Mail-Adresse, Telefonnummer;
• Buchung: Termindaten und -zeiten, Leistungsname, Mitarbeiter, Notizen;
• Betrieblich: Zahlungsstatus (bezahlt/unbezahlt), Leistungspreis (nur zur Referenz — keine Rechnungsstellung);
• Technisch: IP-Adresse (nur Ratenbegrenzung und Sicherheit), Sitzungs-Token (Authentifizierung).

Der Auftragsverarbeiter verpflichtet sich:

1. personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, auch bei internationalen Übermittlungen, sofern nicht durch Unionsrecht oder das Recht eines Mitgliedstaats anders vorgeschrieben;
2. sicherzustellen, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind;
3. dem Risiko angemessene technische und organisatorische Maßnahmen umzusetzen (Art. 32 DSGVO) — siehe Abschnitt 9;
4. Unterauftragsverarbeiter nur gemäß Abschnitt 6 unter gleichwertigen Datenschutzpflichten einzusetzen;
5. den Verantwortlichen bei der Beantwortung von Betroffenenanfragen (Auskunft, Berichtigung, Löschung, Übertragbarkeit) nach Kapitel III DSGVO zu unterstützen;
6. den Verantwortlichen unverzüglich — spätestens innerhalb von 48 Stunden — nach Kenntnis einer Verletzung des Schutzes personenbezogener Daten, die die Daten des Verantwortlichen betrifft, zu benachrichtigen. Die Benachrichtigung umfasst: (a) die Art der Verletzung und die ungefähre Zahl betroffener Personen und Datensätze; (b) die wahrscheinlichen Folgen; (c) ergriffene oder vorgeschlagene Maßnahmen. Dies ermöglicht es dem Verantwortlichen, seine eigene Pflicht zur Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden nach Art. 33 DSGVO zu beurteilen;
7. die zur Nachweisführung erforderlichen Informationen bereitzustellen und Audits oder Überprüfungen durch den Verantwortlichen oder einen beauftragten Prüfer zu ermöglichen;
8. auf Verlangen des Verantwortlichen alle personenbezogenen Daten am Ende des Dienstverhältnisses zu löschen oder zurückzugeben, vorbehaltlich Abschnitt 8.

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zum Einsatz der nachstehend aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter wird den Verantwortlichen über geplante Änderungen informieren und ihm eine angemessene Möglichkeit zum Widerspruch geben.

Personenbezogene Daten werden in der EU gespeichert (Neon, Frankfurt). Einige Unterauftragsverarbeiter haben ihren Sitz außerhalb des EWR — in den USA und, für die Bildspeicherung (UploadThing), in Singapur. Übermittlungen an diese erfolgen auf Grundlage der Standardvertragsklauseln (Kommissionsbeschluss 2021/914/EU), ergänzt durch Verschlüsselung bei der Übertragung (TLS) und im Ruhezustand.

Wenn eine betroffene Person ihr Recht auf Löschung (Art. 17 DSGVO) ausübt oder ein Konto des Verantwortlichen geschlossen wird, wendet der Auftragsverarbeiter folgendes Verfahren an:

• Persönliche Identifikatoren werden sofort gelöscht: Name, E-Mail-Adresse, Telefonnummer und etwaige Freitextnotizen werden mit anonymen Platzhaltern überschrieben. Das Authentifizierungskonto wird gelöscht.
• Anonymisierte Buchungshüllen werden aufbewahrt für einen angemessenen betrieblichen Zeitraum (bis zu 2 Jahre nach der letzten Buchung). Sie enthalten keine persönlichen Identifikatoren — nur Daten, Leistungsnamen und Preisangaben — und dienen dem berechtigten Interesse des Verantwortlichen an der Führung seiner Betriebshistorie (Art. 17(3)(e) und Art. 6(1)(f) DSGVO). Danach werden sie endgültig gelöscht.

Diese App ist ein Planungswerkzeug. Sie erstellt keine Rechnungen, ist nicht mit Steuerbehörden verbunden und führt keine Buchhaltungsunterlagen. Es erfolgt keine Aufbewahrung auf Grundlage von Steuer- oder Abgabenrecht.

Maßnahmen gemäß Art. 32 DSGVO:

• Alle Daten bei der Übertragung werden mit TLS 1.2 oder höher verschlüsselt;
• Ruhende Daten werden vom Datenbankanbieter verschlüsselt (AES-256);
• Der Zugriff auf Produktionssysteme erfordert MFA und ist auf autorisiertes Personal beschränkt;
• Die Authentifizierung erfolgt durch eine eigens entwickelte Bibliothek mit Ratenbegrenzung, IP-Sperrung und Telefon-OTP-Verifizierung;
• Personenbezogene Daten werden bei Kontolöschung pseudonymisiert (Ghosting-Verfahren, Abschnitt 8);
• Abhängigkeiten werden regelmäßig auf Sicherheitslücken überprüft.

Als Verantwortlicher bist du verantwortlich für:

• die Festlegung einer Rechtsgrundlage für die Verarbeitung der personenbezogenen Daten deiner Kunden (in der Regel Art. 6(1)(b) DSGVO — Vertragserfüllung — für die Buchungsverwaltung);
• die Bereitstellung einer Datenschutzerklärung an deine Kunden mit den nach Art. 13 DSGVO erforderlichen Informationen sowie die Offenlegung, dass Octobooking als Auftragsverarbeiter eingesetzt wird;
• Besondere Datenkategorien: keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO — z. B. Gesundheitsangaben) in Freitextnotizen einzugeben, sofern du keine gültige Rechtsgrundlage nach Art. 9 hast. Für etwaige derartige Daten, die du eingibst, bleibst du allein verantwortlich;
• die Bearbeitung von Betroffenenanfragen deiner eigenen Kunden und gegebenenfalls die Weitergabe relevanter Anfragen an den Auftragsverarbeiter;
• die Sicherstellung, dass Mitarbeiter mit Plattformzugriff ihre Datenschutzpflichten verstehen.

Der Auftragsverarbeiter kann diesen AVV aktualisieren, um Änderungen in Recht, Technik oder Dienst widerzuspiegeln. Wesentliche Änderungen werden mindestens 30 Tage vor Inkrafttreten mitgeteilt. Die fortgesetzte Nutzung des Dienstes nach dem Wirksamkeitsdatum gilt als Annahme. Die aktuelle Versionsnummer und das Wirksamkeitsdatum sind oben auf dieser Seite angegeben.

Dieser AVV unterliegt dem Unionsrecht, insbesondere der DSGVO, sowie, soweit anwendbar, dem nationalen Umsetzungsrecht des Mitgliedstaats, in dem der Verantwortliche niedergelassen ist. Streitigkeiten werden den zuständigen Gerichten der Gerichtsbarkeit des Verantwortlichen vorgelegt.